在Catalyst Center中配置Catalyst 9800 WLC的每台裝置配置

簡介

本文說明如何使用Catalyst Center中的每裝置配置來管理現有的Catalyst 9800無線LAN控制器。

必要條件

需求

思科建議您瞭解以下主題：

• Catalyst 9800組態型號(無線LAN(WLAN)設定檔、原則設定檔以及原則、站點和射頻(RF)標籤)
• Cisco Catalyst Center庫存、站點分層結構和裝置調配

開始之前，請確保：

• Catalyst Center運行2.3.7.9版或更高版本。
• Catalyst 9800執行Cisco IOS XE版本17.12或更新版本。
• Catalyst 9800位於Catalyst Center資產中(通過手動發現新增、通過逗號分隔值(CSV)檔案匯入新增，或通過Prime資料遷移工具新增)，其狀態為Managed。
• Catalyst 9800(netconf-yang,TCP埠830)上啟用網路配置協定(NETCONF)，並在Catalyst Center中配置NETCONF憑證。
• 站點層次結構存在。
• 控制器尚未使用基於意圖（網路配置檔案）的設定進行設定。如果有，則按裝置配置以只讀模式開啟。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• Cisco Catalyst中心版本3.2.3
• Cisco Catalyst 9800-CL無線控制器，Cisco IOS XE版本17.18.4a
• 採用本地模式9178I的思科接入點

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

相關產品

本文件也適用於以下硬體和軟體版本：

• Cisco Catalyst中心版本3.1.x.配置功能按不同的選單名稱分組，如可配置區域中所述。
• 執行Cisco IOS XE版本17.12或更新版本的Catalyst 9800系列無線LAN控制器

背景資訊

Catalyst Center傳統上通過基於意圖的調配來管理無線控制器：您可以在站點級別定義無線設計(服務集識別符號(SSID)、網路配置檔案、RF配置檔案和型號配置),Catalyst Center將生成和推送控制器配置。對於已經運行生產配置的控制器，此方法要求重新建立配置或在設計中學習配置。

在Catalyst Center 2.3.7.9版中，不建議使用「學習裝置配置」工作流，並且引入了Catalyst 9800系列無線LAN控制器(WLC)的按裝置配置。「按裝置配置」允許您直接從Catalyst Center以類似於控制器Web介面的方式在單個控制器上建立、編輯、克隆和刪除配置對象。有了它，Cisco Catalyst Center就可以管理現有的（棕色欄位）控制器，而無需將其配置移至基於意圖的網路配置檔案。功能預設為停用，且每個控制器都會啟用。

每裝置配置與基於意圖的調配

按裝置配置	基於意圖的調配
配置的來源	控制器上存在的對象	站點級設計（網路配置檔案、網路設定、型號配置）
最適合	Brownfield控制器，特定於控制器的設定	綠地部署、標準化多站點設計
需要重新設計	否	是，對於現有控制器
軟體定義存取(SD-Access)無線	不支援	支援
共存於同一個控制器上	不支援.使用基於意圖的設定進行設定的控制器以只讀模式顯示「每裝置配置」	-

可配置區域

在3.2.3版中，裝置詳細資訊視窗的Configuration頁籤將控制器功能分組，如下表所示。選單名稱會顯示在GUI中。可用選項取決於控制器上運行的Cisco IOS XE版本。

功能表	功能
SSID	WLAN配置檔案、策略配置檔案、遠端LAN配置檔案、遠端LAN策略、策略標籤、802.11be配置檔案
RF	RF配置檔案、無線電配置檔案、RF標籤、多BSSID配置檔案、URWB網路配置檔案、RF預設值
AP	AP加入配置檔案、網格、電源配置檔案、Flex配置檔案、站點標籤、日曆配置檔案
標籤對映	AP啟動和標籤對映（標籤優先順序、靜態、基於位置和基於規則的對映）
安全性	AAA、AAA策略、ACL、EAP、URL過濾器、訪客使用者、Web Auth、TrustSec、WPP、LSC、AP證書策略
全球無線	CleanAir、高吞吐量、介質引數、ATF、網路引數、全域性引數、RRM、高級、mDNS、組播、位置、國家/地區、Cisco DNA整合設定、AP策略、無線地理定位
服務	本地策略、QoS、AVC、EoGRE、媒體流、訪客LAN、排除的客戶端
第2層	VLAN、介面、發現協定
網路設定	DNS、DHCP池、HTTP/HTTPS、SNMP、NTP
第3層	路由
管理	裝置、使用者管理、AP升級配置
行動化	行動化

功能歷史記錄

Catalyst Center版本	變更
2.3.7.9	引入了按裝置配置。不建議使用Learn Device Configuration。
2.3.7.11	適用於Cisco IOS XE 17.18.1的802.11be增強功能
3.1.3	其他引數。配置接入點會新增虛擬LAN(VLAN)標籤、域名系統(DNS)、LAN埠和基本服務集(BSS)顏色。跨控制器克隆配置檔案。AP準備。Microsoft Azure上的Catalyst 9800-CL。
3.2.2	選單重組。Cisco TrustSec(CTS)over HTTPS、SGT交換協定(SXP)over IPv6、MACsec。支援Cisco IOS XE 17.18.2和26.1.1。針對輕量型可擴展身份驗證協定(LEAP)等不安全選項的警告。

限制

• 不能在同一控制器上同時使用每裝置配置和基於意圖的調配。
• 不支援SD-Access（交換矩陣）無線。
• AI-Enhanced Radio Resource Management(RRM)僅支援Enable Without Device Provisioning選項，並且僅支援保證使用案例。
• 不支援第3層靜態路由，無需虛擬路由和轉發(VRF)。
• 在IPv6部署中，每裝置配置繼續支援IPv4配置（版本3.2.3）。
• 在控制器上啟用按裝置配置後，無法禁用該配置。可以隨時編輯或刪除使用它建立的配置對象。

設定

網路圖表

此圖顯示本示例中使用的拓撲。Catalyst Center使用NETCONF管理控制器，而無線接入點通過無線接入點的控制和調配(CAPWAP)將控制器加入。

組態

在此範例中，控制器已執行WLAN、標籤和設定檔，如同在棕色區域部署中。每裝置配置用於新增WLAN、預覽和部署WLAN、將其對映到策略標籤中的策略配置檔案、克隆RF配置檔案以及為AP分配標籤。每個裝置配置的每個更改都使用相同的檢視和調配、預覽和部署流程，如步驟5中詳細顯示。

步驟1.為Catalyst Center準備Catalyst 9800

Catalyst Center使用NETCONF來讀取和寫入控制器配置。確保在控制器上啟用了NETCONF:

WLC# configure terminal
WLC(config)# netconf-yang
WLC(config)# end

驗證NETCONF進程是否運行：

WLC# show platform software yang-management process

confd: running
nesd : running
syncfd: running
ncsshd : running
dmiauthd : running
nginx : running
ndbmand : running
發佈： running
gnmib :未運行

步驟2.將控制器分配到站點並重新同步

1. 定位至Provision > Inventory。
2. 選擇控制器，然後選擇Actions > Provision > Assign Device to Site。選擇控制器使用的建築，然後按一下「Assign」，等待控制器顯示「Managed」和「Reachable」。
3. 按一下控制器名稱以開啟裝置詳細資訊視窗，然後選擇View Device Details。 
4. 系統隨即會開啟裝置詳細資料頁面，且功能表會顯示控制器的狀態以及Enable per-device configuration、View 360、Run commands和Refresh選項。 

步驟3.啟用每個裝置的配置

1. 啟用控制器的每個裝置配置並確認
2. 重新同步控制器(Actions > Inventory > Resync Device)，以便Catalyst Center讀取當前配置。
3. 裝置詳細資訊中的一個新選項顯示該WLC管理和註冊的AP數量
4. 在控制器的裝置詳細資訊視窗中，按一下Configuration頁籤。

重新同步後，Configuration索引標籤會顯示Per-device configuration標籤，並列出控制器的現有對象。左側選單將功能分組（SSID、RF、AP、標籤對映、安全、全域性無線、服務、第2層、網路設定、第3層、管理和移動），每個表提供來自其他WLC的Add和Clone。

標籤旁邊的資訊圖示顯示：每個裝置的配置允許通過直接在此頁面上編輯配置進行更改。

步驟4.建立WLAN設定檔

1. 在Configuration頁籤中，選擇SSID > WLAN Profiles，然後按一下Add。
2. 一般情況下，請設定：
   • 無線網路名稱(SSID):PDC-LAB
   • WLAN ID:50(範圍1至4096;使用控制器上未使用的ID)
   • WLAN配置檔名稱:PDC-LAB
   • SSID狀態:管理員狀態已啟用
3. 在「安全」>「第2層」中，選擇Personal，並保留WPA2（Wi-Fi保護訪問2）、AES(CCMP128)和PSK（預共用金鑰）身份驗證金鑰管理(AKM)。 將PSK Format設定為ASCII，並輸入Pre-Shared Key。預設的第2層選項為Enterprise。Advanced包含11be、11ax、11k和11v設定。
4. 按一下「Review and Provision」。

步驟5.預覽和部署更改

1. 在Provision窗格中，選擇如何部署： 
   • 現在立即部署。當System > Settings > Visibility and Control of Configurations在部署前強制執行預覽時（如本實驗所示），此選項不可用。
   • 稍後計畫部署。
   • 預覽和部署（推薦）準備配置，以便您可以檢視配置而不會影響正在運行的網路，並在以後進行部署。
2. 選擇Preview and Deploy，輸入Task Name(此示例使用PDC-Create-WLAN-PDC-LAB)，然後按一下Apply。

3. Catalyst Center顯示第2步（共3步）：準備裝置和配置模型，同時計算配置。要稍後檢視，請按一下退出並在稍後預覽。工作項保留在活動>任務中。
4. 在第3步（共3步）：預覽配置，按一下控制器名稱。要部署的配置顯示基於YANG(Yain Another Next Generation)資料模型（預設檢視）的NETCONF負載。 對於WLAN，負載使用Cisco-IOS-XE-wireless-wlan-cfg模型。

5. 按一下YANG_TO_CLI檢視生成的CLI，該命令列介面(CLI)等同於YANG負載。在視窗狀態下，此CLI僅是預覽，不能直接應用於裝置。

此示例的已生成CLI為：

wlan PDC-LAB 50 PDC-LAB
 security wpa psk set-key ascii 8 <encrypted-key>
 no security wpa akm dot1x
 security wpa akm psk
 radio policy dot11 24ghz
 radio policy dot11 5ghz
  slot 0
  slot 1
  slot 2

6. 按一下「Deploy」。在「部署」窗格中，選擇Now(或Later)，確認Task Name，然後按一下Submit。
7. 導航到活動>任務，然後開啟任務。任務型別為PROVISION，當控制器接受配置時，狀態更改為Success。

步驟6.將WLAN對映到策略標籤中的策略配置檔案

1. 如果WLAN需要專用策略配置檔案（例如，使用不同的VLAN），請首先在SSID > Policy Profiles(使用Add)中建立WLAN。此示例使用現有的default-policy-profile。
2. 選擇SSID > Policy Tags，然後按一下Add。
3. 在Create Policy Tag中，輸入名稱PDC-LAB-PT。
4. 在WLAN Profile - Policy Profile Mapping中，按一下Add，選擇WLAN profile PDC-LAB和原則設定檔，然後儲存對應。
5. 按一下「Review and Provision」，然後完成步驟5中所述的部署。

步驟7.克隆現有RF配置檔案

克隆會重新使用控制器的現有對象作為起點。

1. 選擇RF > RF Profiles，選擇現有配置檔案(例如Low_Client_Density_rf_5gh)，然後選擇Actions > Clone。
2. 在General中，輸入RF Profile Name PDC-LAB-5GHZ，然後根據需要調整802.11、RRM、802.11ax、Advanced和802.11be部分的引數。
3. 按一下「Review and Provision」，然後完成步驟5中所述的部署。

步驟8.為接入點分配標籤

1. 在裝置詳細資訊視窗的標題中，按一下Manage APs。Operational Access Points表顯示每個AP的策略標籤、站點標籤、RF標籤和標籤源。下表顯示上次控制器重新同步後的網路狀態。

2. 選擇AP並按一下Edit AP Configuration Set。
3. 選擇Policy Tag(例如PDC-LAB-PT)、Site Tag和RF Tag。
4. 按一下「Review and Provision」，然後完成步驟5中所述的部署。

步驟9.刪除配置對象

「按裝置配置」也會使用相同的預覽和部署流程從控制器中刪除對象。此範例會刪除WLAN PDC-LAB:

1. 選擇SSID > WLAN Profiles，選擇PDC-LAB，然後選擇Actions > Delete。
2. 確認警告是否確實要刪除選定的WLAN配置檔案？和Yes。
3. 按照步驟5所述完成部署。YANG負載對WLAN條目使用delete操作，生成的CLI為：

no wlan PDC-LAB 50 PDC-LAB

驗證

使用本節內容，確認您的組態是否正常運作。

在Catalyst Center上

• 預配任務在Activities > Tasks（映像8）中顯示Success。
• 在控制器的Configuration頁籤中，會列出新對象。在本例中，SSID > WLAN Profiles列出了WLAN ID 50的PDC-LAB，如圖14所示。WLAN尚未對映到策略標籤，因此其策略標籤計數為0。

• 在管理AP中，「Operational Access Points（可操作訪問點）」表顯示了分配給每個AP的標籤（圖11）。

在Catalyst 9800上

您可以在控制器CLI或裝置詳細資料視窗標題中的Run commands（命令運行程式）運行這些命令。

• show running-config |部分wlan PDC-LAB — 顯示Catalyst Center推送的WLAN配置。
• show wlan summary — 列出控制器上設定的WLAN及其狀態。
• show wireless tag policy detailed PDC-LAB-PT — 顯示策略標籤的WLAN到策略配置檔案的對映。
• show ap tag summary — 顯示每個AP的策略、站點和RF標籤以及標籤的來源。
• show logging | include DMI-5-AUTH_PASSED|NDBMAN-5-CONFIG_I — 顯示Catalyst Center對NETCONF會話和配置所做的更改。
• show wireless client summary — 列出關聯的客戶端及其狀態。

以下是部署後控制器上的WLAN組態：

WLC# show running-config | section wlan PDC-LAB
wlan PDC-LAB 50 PDC-LAB
 radio policy dot11 24ghz
 radio policy dot11 5ghz
  slot 0
  slot 1
  slot 2
 security wpa psk set-key ascii 8 xxxxxxxx
 no security wpa akm dot1x
 security wpa akm psk

控制器日誌顯示Catalyst Center(10.X.X.X)開啟了NETCONF會話並配置了無線功能：

WLC# show logging | include DMI-5-AUTH_PASSED|NDBMAN-5-CONFIG_I
Oct 27 21:22:58.653: %DMI-5-AUTH_PASSED: Chassis 1 R0/0: dmiauthd: User 'USERX'
 authenticated successfully from 192.168.10.10:62453  for netconf over ssh.
 External groups: PRIV15
Oct 27 21:24:13.977: %NDBMAN-5-CONFIG_I: Chassis 1 R0/0: ndbmand: Configured
 feature 'wireless' from 192.168.10.10:62453 via NETCONF user dnac
 session 5311, transaction-id 5924

%NDBMAN-5-CONFIG_I訊息顯示了已設定的功能、Catalyst Center位址和NETCONF使用者名稱。

在AP使用策略標籤後，將客戶端連線到PDC-LAB，並使用show wireless client summary確認客戶端已達到Run狀態。

帶外更改

Catalyst Center會檢測在Catalyst Center外部進行的更改，例如從控制器CLI或Web介面進行的更改。如Per-device configuration標籤旁邊的警告圖示所述（圖15），這些更改將在下次清單同步時匯入，並且可能導致衝突。要保持配置的一致性，請對所有支援的配置使用Catalyst Center。

圖15.有關在Catalyst Center外部進行的配置的警告

自3.1.3版起，組態變更事件只會重新同步控制器。要刷新AP資料，請使用Actions > Inventory > Resync Device運行完全重新同步。

疑難排解

本節提供的資訊可供您用來疑難排解組態問題。

未顯示Enable Per-Device配置選項

• 確認Catalyst Center運行的是2.3.7.9版或更高版本。
• 確認控制器是採用Cisco IOS XE 17.12版或更高版本的Catalyst 9800系列控制器。
• 確認控制器在清單中為Managed和Reachable。如果需要，請重新同步。
• SD訪問（交換矩陣）無線不支援按裝置配置。

按裝置配置以只讀模式開啟

當控制器已使用基於意圖（網路配置檔案）的設定進行設定時，這是預期的結果。兩個型號不能在同一控制器上組合。在裝置詳細資訊視窗的Configuration頁籤中，顯示Managed via Site-Based Network Profiles標籤，並顯示其資訊圖示：此裝置使用基於站點的網路配置檔案進行管理。所有配置均處於只讀模式。只能通過網路配置檔案進行更改。

圖16.只讀模式下由基於站點的網路配置檔案管理的控制器

設定任務失敗

1. 在Activities > Tasks中開啟失敗的任務，然後檢視錯誤詳細資訊。
2. 請重新同步控制器，然後重試。
3. 在控制器上，驗證NETCONF:

• show platform software yang-management process — 所有進程必須顯示Running。
• show netconf-yang sessions — 列出活動的NETCONF會話，包括來自Catalyst Center的會話。

4. 確認Catalyst Center中的NETCONF(TCP 830)和安全外殼(SSH)憑證有效，且沒有防火牆阻止Catalyst Center和控制器之間的連線。

對控制器所做的更改不會顯示在Catalyst Center中

使用Actions > Inventory > Resync Device重新同步控制器。自3.1.3版起，配置更改事件僅對控制器進行重新同步，而不對其AP進行重新同步，因此需要完全重新同步才能刷新AP資料。

修訂記錄

修訂	發佈日期	意見
1.0	29-Oct-2026	初始版本